概要
お客様データのセキュリティを最優先
SailPointは、お客様のデータを保護し、業界標準を維持することを最優先しています。そこで、SailPointは業界慣行と一致するコーポレートガバナンスの方針と手順を活用して、事業を行うすべての管轄区域で適用されている法律と規制を遵守しています。
SailPointのブランドは、「4つのI」の哲学：Innovation（革新）、Integrity（誠実さ）、Impact（影響）、Individuals（個人）の上に成り立っています。これらのコアバリューは、SailPointの企業文化に影響を与えているだけでなく、SailPointのビジネス慣行にも取り入れられています。SailPointは、サービスの信頼性と安全性を維持するという約束を守ることに誇りを持っています。お客様のデータを保護し、SailPointのデータセキュリティ プログラムの透明性を保つことを最重要事項としています。
SailPointは、お客様のデータが安全かつ健全に保たれるよう、組織レベル、アーキテクチャレベル、運用レベルで厳格なセキュリティ対策を採用しています。
SailPoint Trust Centerでは、SailPointのサイバーセキュリティ(英語)、コンプライアンス、プライバシーの各プログラムをお客様が利用でき、お客様がデータ管理に必要な情報を提供しています。
サイバーセキュリティ
専用のアーキテクチャで最大の保護を実現
SailPointのクラウドは、最も厳格なセキュリティ管理をサポートするように設計されています。脅威の検出と対応、脅威露出管理プロトコルを通じて、SailPointは厳しい要件分析、設計テストと承認、堅牢なエンジニアリングを実施することで、ベストプラクティスを維持しています。これらのプロトコルは業界のベンチマークと合致し、国際的な管理機関の基準に準拠したポリシーと手順によって強化されています。
SailPointは、ソフトウェアの脆弱性を積極的に特定し修正するセキュアソフトウェア開発ライフサイクルプログラムを通じて製品のセキュリティを維持しています。また、SailPointのセキュリティシステムは、外部のセキュリティ研究機関の審査も受けています。SailPointのプログラム詳細はこちらをご覧ください(英語)。
コンプライアンス
製品認証
SailPointは、セキュリティを重要視する組織として厳格なコンプライアンス基準を導入し、SailPointが提供するサービスを認証するとともに、お客様が各業界の規制に準拠できるようにサポートしています。SailPointのアイデンティティ セキュリティがどのように役立つかについての詳細は、コンプライアンスのためのアイデンティティ(英語)をご覧ください。
プライバシー
多重にわたるプライバシー保護
SailPointでは、お客様のプライバシーを尊重します。お客様が個人情報を共有することを選択された場合、その情報を保護し、安全に管理するために責任を持って行動することを信頼いただいていると認識しています。SailPointはプライバシーを最優先事項として製品やサービスに組み込むことでお客様の期待に応えるとともに、進化する規制への準拠を維持しています。SailPointのプライバシーとデータ保護の詳細は、こちらをご覧ください。
よくあるご質問
よくあるご質問
データセキュリティは複雑です。製品やソリューションを検討の際、どこから手をつければよいかわからない場合、SailPointがお手伝いします。よくあるご質問とその回答をご紹介します。
IdentityNowソフトウェアを使用する場合、お客様がデータ管理者となります。
SailPointがプロフェッショナルサービスを提供している場合SailPointは、プロジェクトの遂行中に、ソフトウェア内の少なくとも一部の情報への限定的なアクセス権を有する可能性があります。ただし、SailPointが情報にアクセスする方法とアクセスできる情報は、お客様によって決定されます。
IdentityNowサービスを使用する場合、SailPoint Technologies, Inc.は、お客様のデータ処理者としての役割を果たします。
IdentityNowは、SaaSサブスクリプションサービスとして提供される、マイクロサービスベースのマルチテナント アイデンティティ ガバナンス プラットフォームです。IdentityNowは、オンプレミスまたはクラウドでホストされているアプリケーションとデータのコンプライアンス、プロビジョニング、パスワード管理をサポートする、完全に統合されたサービスセットを提供します。SailPointでは、以下に示すように、独自の機能を備えたクラウド プラットフォームとガバナンスサービスにIdentityNowをパッケージ化し、価格を設定しています。
- クラウド プラットフォーム：IdentityNowは、本番インスタンス、サンドボックス インスタンス、IdentityNowクラウドゲートウェイ仮想アプライアンスなど、クラウドにおけるアイデンティティ セキュリティの基盤となるコンポーネントを提供します。さらに、SailPointの特許取得済みの手法により、オンプレミスのアプリケーションやデータと統合連携できます。IdentityNowには、オンプレミスとクラウドのアプリケーション向けのコネクタとアプリケーション プロファイルをまとめた、大規模なカタログも含まれています。このカタログでは、SailPointのオンプレミスソリューションであるIdentityIQ向けに開発された、知的財産を活用しています。これは、すべてのガバナンスサービスに追加料金なしで含まれています。
- ユーザー プロビジョニング：このモジュールを使用すれば、導入の初日からビジネスユーザーの生産性を向上できます。IdentityNowのユーザー プロビジョニングでは、ベストプラクティスの構成とワークフローを使用して、入社と退職のプロセスを簡素化できます。IT部門は、業務に必要なアプリケーションとデータへの適切なアクセス権を、従業員にすばやく付与できます。
- アクセス権限付与：このモジュールでは、アプリケーションやデータへのアクセス権を申請および承認するための、堅牢なセルフサービス型ソリューションを社内全体に提供します。アクセス権申請・付与プロセスを自動化することで、ビジネスユーザーに対して、業務に必要なアクセス権をすばやく提供できます。
- アクセス権限審査（ID棚卸）：このモジュールでは、社内全体のユーザーアクセス権限を確認するプロセスを自動化します。IdentityNowを使用すれば、企業はアクセス権限審査や棚卸を迅速に計画、スケジュール、実行して、適切なユーザーが、企業リソースへの適切なアクセス権を有していることを確認できます。
- 職務分掌：このモジュールでは、アクセス権の調査プロセスを簡素化および迅速化し、アクセス権に関する利害の対立をすばやく把握して、確認と緩和を行います。また、社内外の監査要件への継続的なコンプライアンスを実現するための、各種ポリシーを自動的に策定します。
- パスワード管理：このモジュールでは、ビジネスユーザーは直観的なセルフサービスにより、デバイスや場所を問わず、パスワードを管理およびリセットできます。このサービスにより、クラウドからデータセンターに至るまでのあらゆるシステムで、すべてのユーザーに一貫性のある安全なパスワード ポリシーを適用できます。
お客様は、誰のデータをIdentityNowに取り込むのかを決定できます。IdentityNowソフトウェアは、通常、お客様の従業員および契約社員を管理するためのライセンスが付与されています。その場合、従業員および契約社員のデータのみが処理されます。
お客様は、個人データを含む、どのような種類のデータをIdentityNowに取り込むのかを決定できます。通常、IdentityNowのデータは、ビジネスに関する連絡先情報（従業員の氏名、役職、電子メール、オフィス名、携帯電話番号、オフィスの所在地、マネージャー、ロールなど）、権限データ（従業員がアクセスできるアプリケーション、アクセス許可）、技術情報（IPアドレス、位置情報など）に限定されます。
SailPointのSaaSソリューションであるIdentityNowでは、GDPR（EU一般データ保護規則）第9条で言及されている、特別なカテゴリーの個人データを含む、機密性の高い個人データ（健康状態に関するデータ、政治的意見、宗教的または哲学的信念、労働組合への加入、人種または民族的出身、性的指向、遺伝データ、生体データ、犯罪活動データ、金融口座番号、納税者番号など）を処理することを想定していません。SaaS利用契約（https://www.sailpoint.com/legal/customer-agreements/からご覧いただけます）で規定されているSailPointの標準契約条件には、この種類の個人データの提供に対する制限事項が定められています。
お客様およびそのユーザーは、以下の行為を行わないものとし、第三者による以下の行為を禁止するものとします。
制限事項 お客様およびそのユーザーは、以下の行為を行わないものとし、第三者による以下の行為を禁止するものとします。
- SaaSサービスで機密データを送信または保存すること。
お客様は、データの収集元と、データを自動的に収集するか、個人の自発的な提供に基づいて収集するかを決定できます。SailPointがお客様に代わって個人情報を収集することはありません。
IdentityNowに取り込まれたデータは、通常、お客様の環境における他のシステムから取得されます。データはIdentityNowに集約され、誰がどのアプリケーションやシステムにアクセスできるのかをより明確に把握できます。お客様はIdentityNowを使用して、ユーザーアクセス権限審査や棚卸を実行できます。これは、法的要件、規制要件、コーポレートガバナンス要件のすべて、またはそのいずれかを遵守するために必要となる場合があります。
また、IdentityNowを使用して、入社と退職のプロセスを簡素化できます。これにより、IT部門は、業務に必要なアプリケーションへのアクセス権を従業員にすばやく付与したり、不要になったアクセス権限を迅速に削除したりできます。
お客様は、IdentityNowを使用する目的と、IdentityNow内で個人データを処理する目的を決定します。IdentityNowは、お客様の環境における他のアプリケーションからデータを集約するため、IdentityNowでのデータ処理の目的は、他のアプリケーションでデータが収集および処理された目的と一致する可能性があります。
IdentityNowは、通常、従業員や契約社員にアイデンティティ ガバナンス機能を提供するために使用されます。アイデンティティ ガバナンスは、組織内の適任者が、適切なアプリケーションや情報にアクセスできるように設計されています。お客様は、データ処理の法的根拠を決定する責任を単独で負います。データ処理に対するお客様の法的根拠は、正当なビジネス上の利益および法的要件の両方、またはそのいずれかである可能性があります。SailPointでは、お客様が同意に基づいて従業員データを処理することを想定していません。しかし、お客様が当該決定を下した場合、お客様は、当該決定に対して責任を負います。
情報は、お客様によってIdentityNowに取り込まれます。そのため、お客様は、IdentityNowに取り込むデータが、特定の目的を達成するために必要であり、かつ当該目的を達成するためだけに限定されているかどうかを判断します。
SailPointがデータ処理者を務める場合、データ管理者であるお客様の指示に従い、契約上の義務を履行するために必要な場合にのみ、データを処理します。
SailPointのDevOps担当者およびサポート担当者は、サポート目的でお客様のIdentityNow環境にアクセスできます。DevOps担当者およびサポート担当者は、お客様のシステム管理者と同様に、IdentityNow環境のデータにアクセスできます。
当該データは、通常、氏名や電子メールアドレスなどのビジネスに関する連絡先情報、および権限情報（従業員がアクセスできるアプリケーションとアクセス許可）に限定されます。SailPointの担当者は、暗号化されたパスワードや秘密の質問などの機密情報にアクセスできません。
SailPointがプロフェッショナルサービスを提供している場合、SailPointのプロフェッショナルサービス担当者は、契約期間中、お客様のIdentityNow環境にアクセスできます。
IdentityNowサービスにおいて、SailPoint Technologies, Inc.は、データ管理者であるお客様から、個人データを受け取るデータ処理者です。
SailPointは、Amazon Web Services（AWS）を利用してIdentityNowサービスをホストします。AWSは、IdentityNowの情報にアクセスできませんが、システムとデータを物理的に制御できます。SailPointは、Twilioを利用して、IdentityNow内でモバイル端末を介した2要素認証を提供します。お客様のシステム管理者がこの機能を有効にしている場合、2要素認証を実行するために、携帯電話番号はTwilioと共有されます。
SailPointによるサービスの提供を支援する可能性のある、その他のサードパーティおよび関連企業のサブプロセッサーのリストは、https://www.sailpoint.com/legal/sub-processors/で入手できます。
お客様は、データの収集元、およびお客様がどこからデータにアクセスするのかを決定します。お客様は、IdentityNowサービスがホストされる場所も決定します。SailPointは、Amazon Web Services（AWS）を利用してIdentityNowをホストします。IdentityNowは、AWS米国東部（バージニア北部）リージョン、AWS欧州（フランクフルト）リージョン、AWS欧州（ロンドン）リージョン、AWSアジアパシフィック（シドニー）リージョン、AWSアジアパシフィック（東京）リージョンのいずれかでホストできます。IdentityNow内のデータは、指定された場所で物理的に保管されます。ただし、お客様のIdentityNow環境は、米国、英国、ウクライナ、インド、シンガポール、オーストラリアのSailPointのDevOps担当者およびサポート担当者によって管理および保守されます。
お客様は、データを収集する前に、雇用契約、ポリシーの掲示、またはその他の手段を通じて、個人に通知する責任があります。また、お客様は、個人に提供される情報に、必要なすべての情報が含まれていることを確認する必要があります。IdentityNowは、お客様が設定可能な利用契約または通知をサポートしています。SailPointがお客様に代わって個人情報を収集することはありません。
SailPointは、契約関係の終了または満了後の要請に応じて、お客様のデータを返却または破棄します。ただし、法的要件、会計要件、またはコーポレートガバナンス要件を遵守するために、お客様のデータを保持する必要がある場合は除きます。保持されたお客様のデータのエレメントは、当該エレメントが保持された目的のためにのみ使用され、それ以外の処理から保護されます。
SailPointは、IdentityNowのサブスクリプション期間中にのみ、IdentityNowでお客様のデータを処理します。お客様は、サブスクリプション期間中、IdentityNowのデータを編集および削除できます。IdentityNowサービスの終了または満了後30日以内に、SailPointは、IdentityNowのお客様のインスタンスと、そこに保存されているお客様のデータをすべて削除します。バックアップ システムにアーカイブされたIdentityNowのお客様のデータは、バックアップが保持されている30日間、安全に分離され、それ以外の処理から保護されます。
SailPointがお客様のビジネスデータおよび個人データを保持する場合、SailPointは、要請に応じて当該情報を更新または削除します。